A 29.cikk alapján létrehozott adatvédelmi munkacsoport 000345/07/HU WP132 A munkacsoport 2/2007 véleménye az utasok számára a PNR-adatoknak az Amerikai Egyesült Államok hatóságai felé történő továbbításáról adandó tájékoztatásról Elfogadva 2007. február 15-én A munkacsoportot a 95/46/EK irányelv 29. cikke alapján hozták létre. A munkacsoport a személyes adatok és a magánélet védelmével foglalkozó független európai tanácsadó szerv. Feladatait a 95/46/EK irányelv 30. cikke, valamint a 2002/58/EK irányelv 15. cikke határozza meg. A titkársági feladatokat ellátja: Európai Bizottság, A Jogérvényesülés, Szabadság és Biztonság Főigazgatóságának C Igazgatósága (Polgári igazságszolgáltatás, alapvető jogok és uniós polgárság), B-1049 Brüsszel, Belgium, LX-46 01/43 iroda. Internetcím: http://ec.europa.eu/justice_home/fsj/privacy/index_en.htm
Összefoglalás E véleményt és mellékleteit (gyakran ismételt kérdések és hirdetményminták) olyan utazási irodák, légitársaságok, valamint egyéb szervezetek részére szánták, amelyek utazási szolgáltatásokat nyújtanak az Amerikai Egyesült Államokba vagy onnan repülőgéppel utazók részére. E vélemény és mellékletei frissítik és felváltják az ezt megelőző 2004 szeptember 30-i véleményt (WP97). A jelenlegi jogi kereteket a PNR információknak az Amerikai Egyesült Államok hatóságai felé történő továbbítására a 2006. október 16-i ideiglenes megállapodás fedi le. Egy új megállapodás céljából a tárgyalások megkezdése 2007-ben várható. Maradnak kötelezettségek az utazási irodák, légitársaságok és egyéb szervezetek számára, hogy nyújtsanak tájékoztatást az utasoknak személyes adataik feldolgozásáról és e vélemény célja hogy tanácsot és útmutatást adjon arról, hogy kinek, milyen tájékoztatást kell nyújtania, milyen módon és mikor. A tájékoztatást akkor kellene az utasoknak nyújtani, amikor megállapodnak a repülőjegy megvásárlásában, és amikor visszaigazolást kapnak erről a jegyről. A vélemény tanácsot ad, hogy miként kell tájékoztatást nyújtani telefonon, személyesen és interneten. A 29. cikk alapján létrehozott munkacsoport elkészítette a modell tájékoztatókat, (e vélemény mellékletei) hogy a szervezetek számára megkönnyítse e tájékoztatást és biztosítsa, hogy a szolgáltatott információ az egész Európai Unió területén egységes legyen. A rövidebb tájékoztató összefoglaló tájékoztatást ad az utasoknak adataik továbbításáról az Amerikai Egyesült Államok hatóságai számára és arról, hogy miként juthatnak hozzá meg további információkhoz. A hosszabb tájékoztató gyakran ismételt kérdések formájában készült és több részletet tartalmaz az adatfeldolgozásról. Az szélesebb értelemben magyarázza az utasok adatait, mielőtt a PNR-adatokra összepontosítana. Az ideiglenes megállapodáshoz és egyéb vonatkozó dokumentumohoz vezető internetes linkeket és is tartalmaz. - 2 -
A munkacsoport 2/2007 véleménye az utasok számára a PNR-adatoknak az Amerikai Egyesült Államok hatóságai felé történő továbbításáról adandó tájékoztatásról A SZEMÉLYES ADATOK FELDOLGOZÁSA VONATKOZÁSÁBAN AZ EGYÉNEK VÉDELMÉVEL FOGLALKOZÓ MUNKACSOPORT amelyet az 1995. október 24-i 95/46/EK európai parlamenti és tanácsi irányelvvel 1 hoztak létre, tekintettel ezen irányelv 29. cikkére,30. cikke (1) bekezdésének a) pontjára és (3) bekezdésére, tekintettel a munkacsoport eljárási szabályzatára és különösen annak 12. és 14. cikkére, elfogadta ezt a véleményt: BEVEZETÉS A 2001. szeptember 11-i merényleteket követően, az Egyesült Államok számos törvényt és rendeletet fogadott el, amelyek megkövetelik a területére belépő légitársaságoktól, hogy adják át az USA hatóságainak az Amerikai Egyesült Államokba, onnan vagy azon keresztül repülőgéppel utazók és a személyzet tagjainak személyes adatait. Az USA hatóságai különösen azt a kötelezettséget írták elő a légitársaságok számára, hogy adjanak az Amerikai Egyesült Államok Belbiztonsági Minisztériuma (DHS) számára elekronikus hozzáférést az Amerikai Egyesült Államokba, onnan vagy azon keresztül utazók adataihoz, amelyeket az utasnyilvántartási adatállomány (PNR) tartalmaz. Azok a légitársaságok, amelyek nem felelnek meg ezeknek a követelményeknek, kemény büntetésekkel nézhetnek szembe sőt elveszíthetik leszállási engedélyeiket, valamint utasaik késedelmet szenvedhetnek az Egyesült Államokba történő megérkezésükkor. Az európai jogi keret, amely megengedi a légitársaságoknak, hogy PNR-adataikat továbbítsák, az Európai Bizottság 2004. május 14-i határozatával lépett hatályba, amelyet az Európai Unió és az Amerikai Egyesült Államok között 2004. május 28-án megkötött nemzetközi megállapodás kísért. Miután az Európai Bíróság 2006-ban megsemmisítette ezt a két jogi eszközt, ezt a keretet felváltotta az Európai Unió és az Amerikai Egyesült Államok között 2006. október 16-án megkötött nemzetközi megállapodás 2. A nemzetközi megállapodás nem szándékozik eltérni az Európai Unió vagy tagállamainak jogszabályaitól vagy módosítani azokat. Különösen az irányelv 10. és 11. cikkei írják elő a tagállamok számára azt a kötelezettséget, hogy megbizonyosodjanak, 1 2 HL L 281, 1995.11.23., 31.o., elérhető: http://europa.eu.int/comm/internal_market/en/media/dataprot/index.htm Minden dokumentum elérhető a:http://ec.europa.eu/justice_home/fsj/privacy/thridcountries/index_en.htm - 3 -
hogy az adatkezelő tájékoztatást nyújt az adatalanynak a tervezett adatfeldolgozással kapcsolatosan. Az adatkezelő azon kötelezettsége, hogy tájékoztassa az adatalanyt így a nemzeti jogszabályokból ered, amelyet az irányelv értelmében fogadtak el. A munkacsoport tudatában van, hogy az adatalany tájékoztatására vonatkozó kötelezettség az adatkezelők felelőssége és azt a rájuk vonatkozó nemzeti jogszabályokkal összhangban kell végrehajtani. Mivel az Amerikai Egyesült Államok kérése a PNR-adatok átadására azonos módon érinti az összes légitársaságot, a munkacsoport úgy véli, hogy ténylegesen szükség van a koherenciára az utasoknak átadandó információ tartalmát, valamint átadásának idejét és módját illetően. Ebből a célból, a munkacsoport szabvány tájékoztatókat fogadott el 2004. szeptember 30-i véleményében (WP97), hogy útmutatásul szolgáljon az EU és az USA között repülőgéppel utazóknak átadandó információra vonatkozóan. A munkacsoport úgy véli, hogy két okból most ismét helyén való az utasok tájékoztatásának témájával foglalkozni. Először, a 2004-es utastájékoztatókat frissíteni kell, figyelembe véve az azóta bekövetkezett változásokat. Másodszor a légitársaságok, utazási irodák és számítógépes helyfoglalási rendszerek még nem tájékoztatják következetes és kielégítő módon a transzatlanti repülőjáratok utasait PNR-adataik gyűjtéséről és továbbításáról. Abból a célból, hogy megküzdjenek ezzel a kérdéssel, ebben a véleményben a munkacsoport arról is útmutatást nyújt, hogy milyen módon kellene ezt a tájékoztatást nyújtani. KINEK KELLENE A TÁJÉKOZTATÁST NYÚJTANI? Az irányelv szerint az adatalany tájékoztatása az adatkezelő kötelezettsége. A PNR esetében ez lehet egy légitársaság vagy több légitársaság. Az utasok tájékoztatásának kötelezettsége szintén kiterjed az utazási irodákra, illetve a számítógépes helyfoglalási rendszerekre, az alábbi magyarázat szerint: Légitársaságok Az utasok adatait azért gyűjtik és dolgozzák fel, hogy lehetővé tegyék a légitársaságok számára az utasokkal kapcsolatos azon kötelezettségük végrehajtását, hogy a rendeltetési helyre szállítsák őket. A légitársaság meghatározza, hogy miként és miért dolgozzák fel a személyes adatokat, és mint ilyen a légitársaság az adatfeldolgozás ellenőre. A munkacsoport ennél fogva úgy véli, hogy a tájékoztatást elsősorban annak a légitársaságnak kell nyújtania, amely a repülőjegyet eladja. Különleges eset a járatmegosztás, amikor több légitársaság is érintve lehet, mivel egy légitársaságnál vett repülőjáratra szóló jegy esetében, a tényleges utazást egy másik légitársaság bonyolítja le. Ebben az esetben az adatvédelem szempontjából a munkacsoport úgy tekinti, hogy az a légitársaság, amely a helyfoglalást tette és a repülőjegyet eladta, úgy tekinthető, mint amelyik meghatározza, hogy miként és miért dolgozzák fel az adatokat. Mint ilyen, ezt a légitársaságot kellene adatkezelőnek tekinteni, és így az ő feladata az utas tájékoztatása. Utazási irodák A tagállamok kereskedelmi jogszabályai szerint, az utazási irodákat nem mindig tekintik a légitársaságok képviselőinek, hanem inkább az utasok és a légitársaság közötti közvetítőknek. Ez a közvetítő tevékenység azonban bármely esetben megköveteli, hogy - 4 -
az utasnak pontos, világos és teljes körű tájékoztatást nyújtsanak a szerződés feltételeiről. Ez magában foglalja a tájékoztatást az utas adatainak az Amerikai Egyesült Államok hatóságai általi feldolgozásáról. Az adatvédelmi szabályok alkalmazása érdekében, a tájékoztatást az adatkezelőtől a jegy megvétele előtt meg kell kapni. Amikor a jegyet utazási irodában veszik, az ő kötelezettségük tájékoztatni az utasokat, mivel a légitársaság nevében lépnek fel, lehetővé téve a légitársaságnak, hogy a számára előírt kötelezettségnek megfeleljen. A munkacsoport ennél fogva úgy véli, hogy a tájékoztatást az utazási irodának kell nyújtania azokban az esetekben, amikor a jegyet rajta keresztül vásárolják meg. Számítógépes helyfoglalási rendszerek Néhány esetben, a repülőjáratok helyfoglalásait az utasok olyan számítógépes helyfoglalási rendszereken keresztül teszik meg, mint az Amadeus. Ugyanaz az utazási irodák esetében a fentiekben magyarázott következtetés alkalmazandó a számítógépes helyfoglalási rendszerekre. Az utazási irodáknak ennél fogva kötelezettségük, hogy tájékoztassák a transzatlanti repülőjáratokra rajtuk keresztül jegyet vásárló utasokat PNRadataik gyűjtéséről és továbbításáról. MIKOR KELL A TÁJÉKOZTATÁST NYÚJTANI? A munkacsoport úgy véli, hogy a tájékoztatást az utasoknak nem később, mint akkor kell megadni, amikor az utas beleegyezését adja, hogy megvásárolja a repülőjegyet. Ez összhangban áll az irányelv 6.cikkének általános elvével, amely szerint az adatot tisztességesen és törvényesen kell feldolgozni. A tisztességre vonatkozó ugyanezen követelményt idézi a 10. és 11.cikk, amely hivatkozik a szükséges tájékoztatásra, amely tekintettel az adat[gyűjtés vagy -feldolgozás] sajátos körülményeire, az érintett vonatkozásában a tisztességes adatfeldolgozás biztosításához szükséges. " Ha a PNR-adatok továbbítása gyakorlatban az Amerikai Egyesült Államokba történő utazás feltételévé is vált, az utasok csak akkor lesznek tudatában, hogy mit jelent személyes adataik feldolgozása, ha a tájékoztatást jegyvásárlásuk előtt megadják nekik. A tény, hogy ezeket az adatokat az Amerikai Egyesült Államok hatóságai felé továbbítják, az eredetitől eltérő célokra használják fel és teszik közzé, valamint hosszú időkre tárolják, a légiszállítási szerződés lényeges eleme, különösen azért, mert zavart okoz az utasok magánélethez való alapvető jogaiban. A szerződés megkötése előtt az utasok tudomására hozni ezt a tényt, a szerződéses jóhiszeműség általános elvéből is következik. Ezen felül, tájékoztatást kell nyújtani a jegy megvétele után is, például belefoglalva a repülőjárat lefoglalását visszaigazoló üzenetbe, vagy a jeggyel együtt, annak átadásakor, egy tájékoztató katalógusba. Ez azért szükséges, hogy biztosítsák, hogy az utas megkapja a tájékoztatást azokban az esetekben, amikor a jegyet egy harmadik személy vette a nevében (például a titkára). MILYEN TÁJÉKOZTATÁST KELL NYÚJTANI? A tájékoztatás tartalma az irányelv 10. és 11.cikkeivel összhangban magában foglalja az adatkezelő személyazonosságát, az adatfeldolgozás céljait és bármely egyéb információt [ ] amennyiben e további információk, tekintettel az adatfeldolgozás sajátos körülményeire, az érintett vonatkozásában a tisztességes adatfeldolgozás biztosításához szükségesek. - 5 -
Az információ tartalmának meghatározása, csakúgy mint maga a tájékoztatási kötelezettség, a légitársaság mint adatkezelő elsődleges felelőssége, amely nem sérti az irányelv 10. és 11.cikkeit végrehajtó nemzeti jogszabályokat és az adatvédelmi felügyeleti hatóságokra átruházott hatáskört a tájékoztatási kötelezettség követelményeinek finomhangolására. Az Európa-szerte kialakított alap koherencia kedvéért azonban, a munkacsoport létrehozott egy modell tájékoztatót az utasok számára, amelyet mellékletként csatoltak ehhez a véleményhez. Azzal a szándékkal készült, hogy útmutatóul szolgáljon a légitársaságok számára az utasoknak nyújtandó tájékoztatásról összhangban a kötelezettségekkel, amelyeket az irányelvet végrehajtó nemzeti jogszabályok írnak elő. Ez az új változat frissíti és felváltja a munkacsoport 2004. szeptember 30-i WP 97 véleményében elfogadott tájékoztatókat. Az utasok számára készült tájékoztató két változatban létezik. A rövidebb változat azzal a szándékkal készült, hogy az utasoknak összefoglaló tájékoztatást adjon arról a tényről, hogy az adatok továbbítására kerül sor az Egyesült Államok hatóságai felé és felkínálja számukra a lehetőséget, hogy többet megtudjanak az adatfeldolgozás feltételeiről. Ezt a változatot fel lehet használni, például telefonon történő jegyvásárlás esetén. A hosszabb változat a gyakran ismételt kérdések (GYIK) formáját ölti és részletesebb felsorolást tartalmaz az adatfeldolgozás feltételeiről. Ez a változat megfelelő lehet, amikor a jegyvásárlást interneten vagy egy irodában (légitársaság vagy utazási iroda) intézik. Amikor az utasok többet kívánnak megtudni adataiknak az Amerikai Egyesült Államok hatóságai felé történő továbbításáról, a megjegyzés megadja nekik az internetes linket a vállalásokhoz és a nemzetközi megállapodáshoz. Azt is tanácsolja nekik, hogy lépjenek kapcsolatba a légitársasággal további általános információkért arról, hogy az miként kezeli személyes adataikat. Mindkét tájékoztató tartalmát az Egyesült Államok hatóságai által a munkacsoport és az Európai Bizottság számára elérhetővé tett információ alapján határozták meg és különösen az Amerikai Egyesült Államok 2004. május 11-i vállalásai alapján. A 2006.október 16-i nemzetközi megállapodás e vállalásoknak az Amerikai Egyesült Államok hatóságai általi folytatólagos végrehajtására támaszkodik. A tájékoztatók célja ennélfogva az, hogy a lehető legteljesebb és legpontosabb képet fessék a PNR-adatoknak az Egyesült Államok hatóságai általi feldolgozásáról. Lehet, hogy a tájékoztatókat később frissíteni kellene az Egyesült Államok hatóságai által a munkacsoportnak és az Európai Bizottságnak szolgáltatott, a PNR adatok feldolgozására vonatkozó információkban beállott változások alapján. Ezen modell tájékoztatók létezése nem mentesíti a légitársaságokat azon kötelezettségük alól, hogy amennyiben módjukban áll, az utasoknak pontosabb és teljesebb körű tájékoztatást nyújtsanak.. HOGYAN KELL A TÁJÉKOZTATÁST NYÚJTANI? A tájékoztatás módjára vonatkozó döntés azoknak a felelőssége, akik kötelesek tájékoztatást nyújtani, nevezetesen a légitársaságoké, utazási irodáké és a számítógépes helyfoglalási rendszereké. Mindenesetre, az információt olyan módon kell nyújtani, ami biztosítja, hogy az utasok teljes tudatában vannak PNR-adataik gyűjtésének és továbbításának. - 6 -
A nemzeti jogszabályoknak való megfelelés segítése céljából, a munkacsoport szeretne néhány útmutatást adni ezzel kapcsolatban. Amennyiben a jegyvásárlás utazási irodában történik Az utazási irodáknak az utas számára legalább a rövid utastájékoztató papíralapú változatát kell átadni. Amennyiben az utas további információt kér a PNR adatok továbbításáról, az iroda munkatársainak el kell látni őt a hosszabb utastájékoztató papíralapú változatával. - 7 -
Amennyiben a jegyvásárlás telefonon történik A rövid tájékoztatót fel kell olvasni az utas számára. Amennyiben további információt kér, a légitársaságnak, az utazási irodának vagy a számítógépes helyfoglalási rendszernek jeleznie kellene, hogy az utas miként férhet hozzá a hosszabb tájékoztatóhoz (például egy weboldal meglátogatásával vagy lakcímre megküldve). Amennyiben a jegyvásárlás interneten keresztül történik. Itt számos lehetőség áll rendelkezésre. A rövidebb változatot automatikusan kellene az utas számára bemutatni, anélkül, hogy felkérnék őt annak megkeresésére. Ez úgy is történhet, hogy a weblap tetején feltüntetik, a helyet, ahol az utazó személyes adatait gyűjtik, vagy egyéb módokon, például a felugró ablakok útján tájékoztatják arról. Nem elégítené ki a nemzeti adatvédelmi jogszabályok követelményeit, ha egy oldalon csupán olyan módon tennék elérhetővé a tájékoztatót, hogy az utas csak tevőlege lépés útján férhessen hozzá (például az internetes linkre kattintva) vagy ha egy általános magánéleti szekcióba foglalnák bele. Másrészről a hosszabb tájékoztatóhoz az utasnak tevőleges lépéssel lehetne hozzáférése, mint a internetes linkre való kattintás. Ezt az internetes linket a rövid tájékozatatóban kellene felkínálni. A legvégén, a webhelyen, A hosszabb tájékoztatónak a webhelyen legalább olyan szintű láthatósággal és hozzáférhetőséggel kellene rendelkeznie az utasok számára, mint az általános díj- és utazási feltételeknek. Az irányelv 30. cikke (1) bekezdése a) pontjának rendelkezéseivel összhangban, és annak érdekében, hogy hozzájáruljanak az irányelv végrehajtására elfogadott nemzeti adatvédelmi jogszabályok egységes alkalmazásához, a nemzeti adatvédelmi felügyeleti hatóságok bátorítani fogják az utastájékoztatók használatát. Ellenőrizni fogják a légitársaságok, utazási irodák és számítógépes helyfoglalási rendszerek azon kötelezettségüknek való megfelelőségét, hogy tájékoztassák a transzatlanti repülőjáratokon utazó utasokat PNR-adataik gyűjtéséről és továbbításáról. Kelt Brüsszelben, 2007. február 15-én. a munkacsoport részéről az elnök Mr. Schaar - 8 -
-- 1